脅威・脆弱性・リスクの違いと使い分け
脅威・脆弱性・リスクは似た文脈で出るが役割が違う。脅威は損害を起こし得る事象、脆弱性は悪用される弱点、リスクは両者が資産へ与える損害可能性である。
この単元で学ぶこと
- 脅威の意味と役割を説明できる
- 脆弱性の意味と役割を説明できる
- リスクの意味と役割を説明できる
- 具体例を脅威・脆弱性・リスク・管理策・残留リスクへ正しく分類できる
本文解説
三つは「脅威が脆弱性を悪用するとリスクが顕在化する」という関係で整理する。さらに対策を実施した後に残る残留リスクも確認する。
脅威 情報資産へ損害を与える可能性のある事象や主体。 攻撃者、災害、故障、誤操作など。
脆弱性 脅威に悪用される可能性がある弱点。 ソフトウェア欠陥、設定不備、弱い認証など。
リスク 脅威が脆弱性を通じて資産へ損害を与える可能性。 発生可能性と影響度などで評価する。
管理策 リスクを低減・回避・移転・受容するために選ぶ対策や意思決定。 技術対策と運用対策を組み合わせる。
残留リスク 管理策を実施した後にも残るリスク。 許容可能か再評価する必要がある。
「誰/何が危害を与える=脅威」「どこが弱い=脆弱性」「被害の可能性=リスク」と固定する。
攻撃者=脅威、未修正欠陥=脆弱性、侵入して情報漏えいする可能性=リスク、パッチ適用=管理策、対策後に残る可能性=残留リスク。
図解
重要ポイント
- 脅威: 情報資産へ損害を与える可能性のある事象や主体。
- 脆弱性: 脅威に悪用される可能性がある弱点。
- リスク: 脅威が脆弱性を通じて資産へ損害を与える可能性。
- 管理策: リスクを低減・回避・移転・受容するために選ぶ対策や意思決定。
- 三語を単独暗記せず、因果関係の一続きとして説明できるようにする。
間違えやすい点
- 攻撃者を脆弱性と呼ばない。
- 未修正欠陥そのものをリスクとだけ表現しない。
- 対策を実施した時点で残留リスク評価を終えない。
用語解説
- 脅威
- 情報資産へ損害を与える可能性のある事象や主体。
- 脆弱性
- 脅威に悪用される可能性がある弱点。
- リスク
- 脅威が脆弱性を通じて資産へ損害を与える可能性。
- 管理策
- リスクを低減・回避・移転・受容するために選ぶ対策や意思決定。
- 残留リスク
- 管理策を実施した後にも残るリスク。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。